La tour qui se défend toute seule

Comment la tour surveille, ferme, verrouille — et refuse une clé inconnue.

Pourquoi la tour a appris à se défendre

Sur internet, les machines sont scannées en permanence. Chaque jour, des adresses inconnues essayent de se connecter, de tester un mot de passe, de trouver une porte ouverte. On ne s'en rend pas compte tant qu'on ne regarde pas les journaux. La tour regarde les siens depuis des semaines. Ce qu'elle a vu a décidé de la suite : il ne suffit pas de construire, il faut savoir se défendre.

Une nuit, la tour a relevé 199 connexions indésirables en provenance d'adresses inconnues et les a fermées au pare-feu, sans toucher une seule des connexions légitimes.

Les gestes de la défense

Se défendre, ce n'est pas une seule grosse porte. C'est cinq gestes simples :

• Surveiller — la tour note qui se connecte, à quelle heure, depuis quelle adresse ;
• Fermer — les adresses qui n'ont rien à y faire sont bloquées au pare-feu, en une commande, rejouable ;
• Verrouiller — en cas d'alerte, la tour coupe tout l'accès sauf la session de son pilote, en une trentaine de secondes ;
• Isoler — une machine du réseau qui pose question peut être coupée du reste sans couper les autres ;
• Se souvenir — chaque geste est daté et conservé : on sait qui a fait quoi, quand.

Le verrouillage d'urgence est le geste le plus impressionnant : en une trentaine de secondes, le site se coupe du reste du monde, ne laissant que la session de travail ouverte. Il a été testé : au moment où tout tombait, la session du pilote est restée intacte.

Quand une clé inconnue frappe à la porte

Un jour, une clé SSH a été ajoutée au trousseau de la tour sans passer par la décision du pilote. Elle portait une restriction de lecture seule, mais la veille ne l'avait jamais vue. Dès les premières connexions avec cette clé, la tour a noté dans son journal :

Huit relevés rapprochés, tous datés et conservés. La tour n'a pas banalisé ce qu'elle ne reconnaissait pas : elle a signalé chaque connexion comme inhabituelle et en a informé son pilote. Vraisemblablement via connexions-ssh.sh, le garde-fou « Chaque connexion SSH est signalée » — la confirmation revient à Victor, l'agent de sécurité de l'équipe.

La leçon de cet incident est simple. La clé était légitime — mais légitime n'est pas approuvée. La tour s'est vite donné une règle : toute clé inconnue crée une décision à trancher, portant le détail « ALERTE cle SSH inconnue », et reste refusée tant que personne n'a validé. C'est le pilote qui décide, jamais la machine seule.

Comment on teste le garde-fou qui garde la porte

Une porte que l'on n'a jamais ouverte n'est pas une porte : c'est un décor. La tour vérifie la sienne par un test rouge d'abord : on ajoute une clé de test et on attend que la tour la refuse — test rouge, qui montre que le garde-fou manque ou peut être contourné. Puis on pose le garde-fou, on rejoue le même test : il doit échouer pour la clé, pas pour la tour — test vert. Refuser avant de construire, prouver ensuite : les deux vont ensemble.

Depuis, chaque clé du trousseau est verrouillée en écriture (mode 400, fichiers immuables) : plus personne — pas même le pilote — ne peut ajouter une clé à la main sans que la décision soit d'abord approuvée. La porte est fermée par la règle, et la règle est testée.

Et toutes les autres portes

Une clé ne protège qu'une porte. La tour en a plusieurs, et chacune a ses gardes :

• Les mots de passe ont été coupés. La connexion ne se fait qu'à l'aide d'une clé publique (SSH), jamais avec un mot de passe. La connexion par mot de passe est désactivée, et la connexion comme root est interdite. Essayez de vous connecter avec un mot de passe : la tour refuse.
• fail2ban surveille les tentatives d'entrée. Trois prisons (le pilotage à distance et deux portes de la gestion interne) bannissent les adresses qui se présentent trop souvent sans succès. Un mot de passe essai par essai n'est plus qu'un bruit qui finit banni.
• Presque aucune porte n'est ouverte sur Internet. La tour ne laisse que ce qu'il faut pour être visitée et administrée — et rien d'autre. Tout le reste est fermé, et la fermeture est vérifiée par un double contrôle : l'hôte d'un côté, et le passage par lequel les applications pourraient s'ouvrir sans permission de l'autre. Un conteneur qui publierait une porte la nuit tomberait dans le vide.
• La sentinelle veille quand plus rien ne veille. Le verrouillage coupe le site, oui — mais qui surveille la tour si toutes ses veilles sont mortes ? La sentinelle envoie un courriel de secours directement, sans passer par les services qu'elle surveille. Une tour qui ne peut plus alerter n'est plus une tour de contrôle.
• Le mode confidentiel est partout. Avant d'être affichée, toute sortie d'outil passe par un filtre qui masque les mots clés de données sensibles (listés dans un registre maintenu à la main, nourri du RGPD et de la CNIL) : une sortie de commande ne montre pas une clé d'API ou une donnée personnelle. Si un agent veut montrer une sortie brute, le déblocage est écrit noir sur blanc dans les règles — et il expire tout seul.
• Le cockpit de surveillance. Qui travaille ? Qui s'est connecté ? Quel circuit est bloqué ? Des portes du cockpit montrent l'état des agents, des circuits, des tests — et celui qui est venu sur le site. La surveillance n'est pas un journal que personne lit : c'est un tableau qu'on regarde.

Comment on teste sans se couper soi-même

Avant de lancer un verrouillage, la tour le simule : elle reproduit exactement ce qui se passerait. Elle annonce quelles connexions survivraient et lesquelles seraient coupées. Elle conclut clairement : « votre session survivrait » ou « attention, vous seriez coupé ». On peut donc répéter l'exercice sans risque, autant qu'on veut.

Ce qu'on ne promet pas

Aucune machine ne peut promettre une sécurité parfaite, et la tour non plus. Elle ne promet pas de bloquer absolument tout, ni de protéger ce qui n'est pas branché sur elle. Ce qu'elle promet, c'est une méthode : surveiller, mesurer, fermer, se souvenir. Et un pilote qui garde la main pour les décisions qui comptent.

Comment le vérifier vous-même

La démo de la tour est ouverte, et le fonctionnement se voit en quelques minutes : regarder l'état des services, voir qui s'est connecté, lancer une vérification. Si vous vous demandez comment une machine peut se défendre toute seule sans se couper elle-même, c'est le bon moment pour demander la démonstration.